Frodi bancarie: chi rimborsa la vittima? I dati della Banca d’Italia
Il 5 novembre 2026 il capo della Vigilanza della Banca d’Italia ha portato in Parlamento i dati su incidenti informatici e frodi: nel 2025 le controversie per utilizzi fraudolenti davanti all’Arbitro Bancario Finanziario sono cresciute del 21%. Resta aperta la domanda che interessa i clienti: quando la banca deve rimborsare?
Cosa ha detto la Banca d’Italia in Parlamento?
Ha detto che il rischio informatico non è più un problema tecnico: per una banca la solidità tecnologica conta quanto l’equilibrio dei conti. Lo ha dichiarato Giuseppe Siani, Capo del Dipartimento Vigilanza bancaria e finanziaria della Banca d’Italia, nell’audizione del 5 novembre 2026 davanti alla Commissione parlamentare di inchiesta sul sistema bancario, finanziario e assicurativo.
I dati riferiti sulle segnalazioni di incidenti informatici gravi delle banche e degli intermediari italiani sono questi:
- nel 2025, 101 eventi, oggetto di 137 segnalazioni, dovuti in larga misura a malfunzionamenti del software e problemi di rete;
- l’interruzione dei servizi è la conseguenza principale, in circa il 70% dei casi;
- gli attacchi alla sicurezza informatica sono il 23% del totale, e i fornitori tecnologici sono coinvolti in oltre metà degli eventi;
- nei primi nove mesi del 2026, 92 segnalazioni relative a 68 eventi: circa un quarto riguarda la sicurezza informatica, quasi il 60% è riconducibile a fornitori terzi.
Sul fronte dei clienti, Siani ha indicato due dati. In Italia pesano soprattutto le frodi basate sulla manipolazione del pagatore, in particolare nei bonifici. E nel 2025 le controversie per utilizzi fraudolenti portate all’Arbitro Bancario Finanziario (ABF) sono cresciute del 21%. Secondo Siani, l’intelligenza artificiale rende le frodi più sofisticate e riduce il tempo necessario per colpire sistemi e servizi.
Che cos’è il DORA e a chi si applica?
È il regolamento europeo sulla resilienza operativa digitale del settore finanziario, e si applica a tutte le società finanziarie dell’Unione. Il nome viene dal titolo inglese, Digital Operational Resilience Act. “Resilienza operativa” significa la capacità di continuare a erogare i servizi essenziali anche quando qualcosa si rompe o viene attaccato.
Siani ha descritto il regolamento su cinque pilastri:
- governo e gestione dei rischi legati alle tecnologie dell’informazione e della comunicazione (ICT);
- classificazione e segnalazione degli incidenti;
- test di resilienza, compresi quelli che simulano attacchi reali;
- gestione del rischio dei fornitori esterni e sorveglianza europea sui fornitori tecnologici critici;
- scambio di informazioni sulle minacce informatiche.
Il regolamento non impone una tecnologia precisa. Fissa obiettivi e chiede a ogni intermediario di valutare benefici e rischi della soluzione che sceglie. Alle autorità vanno segnalati solo gli incidenti classificati come gravi: per esempio gli accessi non autorizzati che possono portare alla perdita di dati. Accanto al DORA opera la direttiva (UE) 2022/2555 (NIS2), che riguarda la sicurezza informatica di tutti i settori essenziali. In Italia l’adeguamento al DORA è avvenuto con il decreto legislativo n. 23 del 2025, citato nell’audizione.
Se il fornitore informatico della banca sbaglia, chi ne risponde?
Davanti alla Vigilanza, la banca. Siani lo ha detto in modo netto: gli intermediari mantengono la responsabilità primaria della gestione dei rischi, a prescindere dalle attività che affidano all’esterno.
Il peso dei fornitori emerge dai registri che le banche trasmettono alla Vigilanza:
- circa 3.600 fornitori e subfornitori;
- catene di subfornitura fino a cinque livelli;
- circa 9.600 contratti, per oltre 2,6 miliardi di euro di spesa annua;
- circa metà dei rapporti sostiene funzioni critiche o importanti.
I dati non comprendono i grandi gruppi bancari italiani vigilati a livello europeo. L’elenco europeo dei fornitori tecnologici critici comprende diciannove operatori, tra cui i principali fornitori mondiali di servizi cloud, e nessuna impresa italiana. Siani ha aggiunto un punto di diritto dei contratti: adeguare al DORA i contratti già in essere può essere complesso quando la banca ha poco potere negoziale verso i fornitori più grandi.
Se vengo truffato, la banca mi rimborsa?
Dipende da chi ha dato l’ordine di pagamento. Se l’operazione non è stata autorizzata dal cliente, si applica il regime di tutela dell’art. 10 del d.lgs. n. 11/2010, e l’onere della prova pesa sulla banca.
Le decisioni dell’ABF, l’organismo che risolve fuori dal tribunale le controversie tra clienti e intermediari, fissano questi punti:
- se il cliente disconosce un’operazione, la banca deve provare l’autenticazione, la corretta registrazione e contabilizzazione, l’assenza di malfunzionamenti e, se lo sostiene, la colpa grave del cliente (ABF Collegio di Palermo n. 4285/2026);
- la prova che l’operazione è stata autenticata non basta: la banca deve indicare i fatti da cui si ricava la colpa grave del cliente (ABF Collegio di Bologna n. 934/2026);
- se la banca prova un sistema di autenticazione forte conforme alle regole europee, l’operazione si presume autorizzata e l’attenzione si sposta sulla condotta del cliente (ABF Collegio di Torino n. 668/2026).
L’autenticazione forte è la procedura che richiede due elementi di natura diversa, per esempio una password e un codice ricevuto sul telefono. C’è poi un onere che grava sul cliente: chi non racconta come è avvenuto l’attacco rischia che il silenzio venga letto come colpa grave (ABF Collegio di Palermo n. 4285/2026).
E se il bonifico l’ho fatto io, guidato dal truffatore?
In questo caso la tutela per le operazioni non autorizzate di regola non si applica. È proprio la frode che Siani ha indicato come prevalente in Italia: la manipolazione del pagatore.
Lo schema tipico è lo spoofing: il truffatore falsifica il numero di telefono o il mittente dell’SMS, che sembrano quelli della banca. Si parla di smishing quando l’aggancio è un SMS, di vishing quando è una telefonata. Su questo schema l’ABF ha deciso così:
- i bonifici che il cliente ha predisposto e autorizzato dal proprio home banking sono operazioni autorizzate, anche se il cliente è stato indotto con un raggiro telefonico, e restano fuori dalla tutela dell’art. 10 (ABF Collegio di Bologna n. 928/2026);
- quando lo spoofing è particolarmente insidioso, per esempio quando il messaggio simula uno storno, di regola non c’è colpa grave; se il cliente ha comunque agevolato la frode, la perdita può essere divisa a metà (ABF Collegio di Torino n. 668/2026);
- inserire le credenziali su una pagina contraffatta è di regola colpa grave, ma se la tecnica del truffatore è sofisticata al punto da ricadere nel rischio d’impresa della banca, il rimborso può essere parziale (ABF Collegio di Roma n. 879/2026).
Anche la Cassazione ragiona in termini di concorso di colpa. In una vicenda diversa, quella del correntista che aveva consegnato a un promotore le credenziali del proprio conto online, ha qualificato la condotta come concorso di colpa ai sensi dell’art. 1227 del codice civile, che il giudice non può ignorare (Cass. civ. Sez. I n. 11240/2025).
E se ho pagato una fattura su un IBAN falso?
La banca del beneficiario di regola non risponde. È la cosiddetta frode della fattura: il truffatore si inserisce nella corrispondenza email tra fornitore e cliente e comunica un IBAN diverso.
L’ABF ha chiarito che la banca del beneficiario esegue il bonifico sulla base del solo IBAN indicato da chi paga. Il ritardo nel bloccare il conto di destinazione non è di per sé un danno risarcibile se il bonifico era già irrevocabile. A quel punto la somma si recupera solo con un’azione di restituzione verso chi l’ha ricevuta, con il suo consenso o con un provvedimento del giudice (ABF Collegio di Roma n. 982/2026).
Cosa cambierà con le nuove regole europee sui pagamenti?
Le nuove regole puntano proprio sui due punti deboli appena visti. Siani le ha citate come proposte: la direttiva PSD3 e il regolamento PSR sui servizi di pagamento.
Secondo la descrizione fatta in audizione, i due testi:
- introducono la verifica della corrispondenza tra il nome del beneficiario e l’IBAN;
- rafforzano il monitoraggio delle frodi;
- chiariscono le responsabilità dei prestatori di servizi di pagamento e la disciplina dei rimborsi;
- prevedono tutele specifiche per il consumatore truffato da chi si finge la sua banca.
La questione è aperta: l’audizione non indica quando queste regole si applicheranno né con quale contenuto definitivo. Fino ad allora valgono le regole attuali, e i casi si decidono uno per uno.
Che cosa insegna l’audizione?
Che la sicurezza delle banche e la tutela del cliente truffato seguono due binari diversi. Fin qui il fatto. Quella che segue è un’interpretazione.
Il DORA e la Vigilanza chiedono alle banche di prevenire, resistere e ripartire. La frode che oggi pesa di più, secondo la Banca d’Italia, è però quella in cui il cliente dà l’ordine di persona, ingannato. Per quella frode la tutela civile è la più debole, perché l’operazione risulta autorizzata. Le nuove regole europee sembrano costruite per colmare proprio questo vuoto.
L’audizione non dimostra tre cose. Il +21% misura il numero delle controversie davanti all’ABF, non le somme perse né quante richieste sono state accolte. I dati sugli incidenti riguardano interruzioni e attacchi ai sistemi, non le perdite dei clienti. E i dati sui fornitori escludono i grandi gruppi bancari.
Sul piano pratico, dalle decisioni citate si ricavano queste regole:
- il cliente che disconosce un’operazione non autorizzata non perde il rimborso solo perché la banca prova l’autenticazione, ma deve descrivere con precisione come è avvenuto l’attacco;
- il cliente che ha disposto lui stesso il bonifico, anche sotto dettatura, ha di regola una tutela più debole, salvo frodi particolarmente insidiose;
- l’impresa che paga su un IBAN ricevuto per email sopporta il rischio che sia falso, e il recupero passa dall’azione verso chi ha incassato;
- le imprese che forniscono servizi informatici alle banche devono aspettarsi contratti rinegoziati secondo le regole del DORA.
Chi è vittima di una frode può rivolgersi all’ABF: come funziona il ricorso è spiegato nella guida al ricorso all’Arbitro Bancario Finanziario.
Fonti
- G. Siani, Capo del Dipartimento Vigilanza bancaria e finanziaria della Banca d’Italia, L’innovazione tecnologica e la resilienza operativa nel settore finanziario, audizione presso la Commissione parlamentare di inchiesta sul sistema bancario, finanziario e assicurativo, Roma, 5 novembre 2026
- Decreto legislativo n. 11/2010, art. 10
- Direttiva (UE) 2022/2555 (NIS2)
Nota della Redazione
Ogni decisione citata è verificata sul provvedimento originale. Quando il documento può essere legittimamente ripubblicato senza esporre dati personali, mettiamo a disposizione anche il testo integrale.